基于Web通信行为的抗审查隐蔽通信协议.doc

第X卷第X期 中国科学院研究生院学报 Vol.X No.X2010年X月 Journal of the Graduate School of Chinese Academy of Sciences X 2010一种基于Web通信行为的抗审查隐蔽通信协议*（中国科学院计算技术研究所信息安全研究中心，北京市，100190；信息内容安全技术国家工程实验室）摘 要 Web通信作为目前互联网最为常见的通信行为，也是进行隐蔽通信的主要方式之一。以往基于TCP/IP协议，或者HTTP协议的隐蔽通信方式通常是利用协议本身各个字段的特点，将信息隐藏在协议的各个字段中。这种方式往往会具有某种结构特征，而基于计时的隐蔽通信又往往具有某种流模式。本文基于非对称通信理论和马尔科夫模型的web行为预测，提出一种基于Web通信行为的抗流量审查隐蔽通信协议。本论文重点描述隐蔽通信协议和原型系统，并分析协议的安全性，测试结果表明我们的方法具有很高的效率和安全性。关键词 隐蔽通信; 抗审查; web通信行为中图分类号 TP391 1 引言隐蔽通道的概念最初是在计算机系统领域由Lampson于1973年提出：即如果一个通道既不是设计用于通信，也不是用于传递信息，则称该通道为隐蔽通道。在信息论领域，隐蔽通道通常被定义为一种寄生于其他信道，而没有寄主信道的设计者，持有者与维护者的授权与识别，秘密的进行信息传递。几乎所有的隐蔽通道都占有合法通道的带宽资源。但是，占用的这些带宽资源通常是没有被使用的，或者是未确定的行为。因此，隐蔽通道可以很好的隐藏自身，传统隐蔽通道研究主要集中在操作系统中，随着网络的发展，基于网络的隐蔽通道也逐渐产生，本文关注的主要是基于网络隐蔽通道隐蔽通信技术。网络流量审查是网络隐蔽通信面临的最大挑战之一。审查者可能通过特征分析、协议分析或行为统计分析等方法发现异常通信流量，检测隐蔽通信信道。同时，审查者可能通过流量规格化来消除网络隐蔽通信信道。因此，在设计隐蔽通信协议时需要考虑到隐蔽、安全、可靠等问题。在隐蔽信息传输过程中，如果采用SSL加密隧道进行通信，虽然其通信内容不可见，但可能因为加密连接而引起怀疑。基于网络协议的隐蔽通道是隐蔽通信经常采用的传统方法，然而这种方法信道容量比较低，并且容易受到流量规格化的攻击。本论文关注的是隐蔽通道协议的设计，利用HTTP协议中上传隧道和下载隧道的不对称性，将隐蔽通信协议的命令信息传送隐蔽在上传Web通信行为中，将信息传输过程中的内容信息利用隐写术隐藏在下行网络流量中，从而抵御流量审查和流量规格化攻击，同时在信息传输中采用加密认证的方式保证信息内容的安全性，利用免费代理和志愿者代理来达到抵御追踪的目的，从而在隐蔽通信客户端和隐蔽通信服务端之间构成一条隐蔽隧道。隐蔽通信协议设计的最大挑战在于通信行为的私密性同时提供一个较好的性能，此外隧道协议还应该能够抵御各种被动攻击和各种主动攻击方法，即攻击者能通过流分析，修改包头协议，篡改消息和会话，或者伪装成一个“合法”的HTTP请求等。为了验证协议的可行性，我们设计了一个原型系统，测试结果表明：该系统为web浏览提供很好的通信带宽，并具有很好的隐蔽性。2 相关工作在互联网发展初期，人们通过代理，或者匿名代理绕过审查，如A和Zero Knowledge2提供匿名的web浏览，通过加密HTTP请求来保护用户的隐私，然而这种匿名代理的方式存在单点失效问题，基于SSL的加密连接，内容虽不可见，但是其加密连接的行为会引起怀疑，甚至有些组织会对所有的加密连接进行直接过滤。后来研究人员提出Mix-net和洋葱路由思想，并根据此思想设计了许多匿名通信工具，如TOR，JAP，I2P等4-6，然而匿名通信技术本身只能隐藏信息发送者和接收者的身份，或者隐藏谁跟谁在通信，而不能解决通信的隐蔽性问题。隐蔽通讯的目标是避开如此问题，通过在预先存在的正常通信行为中隐藏额外的信息。互联网用户往往拥有较高的下行带宽与较低的上行带宽，许多通信技术利用这种不对称性提高通信的性能。Adler与Maggs在他们的文章3中考虑是否可以利用服务器的高带宽去帮助用户发送消息以提高通信性能。在已知消息分布的情况下，他们证明上述想法是可行性的，并且在理论上提出了服务器利用它们所掌握的信息去减少客户端发送请求所需的字节数。Adler与Maggs的工作被后来的许多研究者改善或扩展。Travis Gagie在他的文章8中提出了四种协议。其中Dynamic Bit-Efficient Split（DBES）是对Adler等人的bit-Efficient Split（BES）协议的改进，该协议不需要服务器事先知道消息的分布。Feamster 等人基于Adler与Maggs不对称通信理论设计出一个抗流量审查的隐蔽通信系统Infranet 1 - 在HTTP中使用隐蔽通道以绕过审查员，即通过Infranet将一个隐蔽的HTTP请求编码为一系列正常的掩体HTTP请求，并利用隐写术将目标内容隐藏在掩体资源文件的图片中。然而我们在测试中发现Infranet具有迭代次数过多，延时过大等缺点。我们的协议设计目标是抵御审查，并提供在统计上可抵赖性。此外我们的协议保证隐蔽通信服务端的隐蔽性。并在隐蔽通信客户端和服务器端建立一个安全的隐蔽通道，通过HTTP协议中上传隧道和下载隧道的不对称性，把客户端目标HTTP请求映射为一系列正常的web请求。隐蔽通信服务器端解码这个HTTP请求序列，获得目标URL。相对于其他的抗流量审查的隐蔽通信方法，我们的方法更加难于检测和阻塞，其通信行为更加难于发现。因此具有更好的隐蔽性。3 系统架构 这个部分主要陈述我们系统的协议设计和系统架构。首先给出系统的总体架构设计目标，然后详细阐述协议设计的各种考虑，其架构如下图所示。图 1 系统架构图3.1 概述如上图所示，系统主要包括以下三个部分。l 隐蔽通信客户端代理客户端代理接收用户请求，通过隐蔽通信协议将用户请求编码后经代理服务器发送给隐蔽通信服务器，同时接受隐蔽通信服务器返回的结果，提取隐藏信息，通过排序、重组、解密等方法恢复原有信息，并提交给用户。此外，客户端代理还和服务器进行会话协商等工作，进行协议初始化和认证等工作。l 代理资源发布模块为了更好隐藏隐蔽服务器，我们设计了一个代理资源发布模块，该模块是一个可以定时发布一批可用的代理资源列表，这些代理资源是通过加密的，其中代理资源发布策略是我们这个模块设计的重点，在此我们设计一种资源发布策略使得即便某些恶意节点能够拿到这些代理也永不可能拿全所有这些代理资源，以实现隐蔽服务器的私密性即在统计学上的隐蔽性。l 隐蔽通信服务端通过客户端的通信行为解码获取用户目标资源信息，则其一方面访问目标服务器获取用户的目标信息，另一方面访问掩体网站，获取掩体信息，利用信息隐藏方法将用户目标信息隐藏在掩体信息中，然后通过代理服务器转发到客户端。此外，服务器还和客户端代理进行会话协商等工作，进行协议初始化和认证等工作。隐蔽通讯的服务器端的重点是如何设计一个更好的码书，以实现客户端在统计学意义上的可抵赖性，高通讯健壮性以及低的时延。我们的思路是采用自适应映射算法即通过建立马尔科夫模型，并通过增量的学习来预测下一个最有可能的请求页。3.2 设计目标因此，我们采用这种隐蔽通讯的架构，其目的是设计一个：1) 客户端可抵赖性2) 控制服务器的私密性（统计学上的私密性）3) 通讯的健壮性4) 较好的性能（包括带宽，延时等）3.3 通信协议通讯协议的设计是本文的关键部分，也是重点和难点，如何设计一个具有安全，可靠，隐蔽匿名的通讯协议是本系统的最大挑战，在此我们的主要思想是利用web 通讯行为来实现这一目标，即将隐蔽通信协议的命令信息传送隐藏在上传Web通信行为中，将信息传输过程中的目标信息利用隐写术隐藏在下行网络流量中。隐蔽通讯技术相对于加密连接，代理，匿名通信等技术有什么特点，我们采用的这种隐蔽通讯方案有什么优势？这正是我们要回答并解决的。首先，在有的通信系统或者场景中限制加密技术的使用(使用加密技术可能会引起审查者的怀疑，进而对相应的行为进行监控)；其次，隐蔽通讯的目标是避开如此问题，通过在预先存在的正常通信行为中隐藏额外的信息；最后，由于Internet上有大量的数据流和各种不同的协议，因此互联网是一个非常理想的场所，更是一种作为一种隐蔽通讯的工具，相对于基于网络协议的隐蔽通讯和基于存储的隐蔽通讯，基于Web 的通讯行为的隐蔽方式可以更好的抵御网络审查员的审查。下面我们重点阐述通讯协议构建的三个主要部分。图 2 客户端和服务端通信的顺序图3.3.1 隧道建立建立私密通讯隧道是为了更好的抵御审查,以一种安全,隐蔽,匿名的方式与隐蔽服务器通讯。隧道建立包括两个阶段，第一阶段是请求可用的代理资源。第二阶段是会话初始化阶段。即通过代理与隐蔽通信服务器建立连接，初始化会话，并与服务器交换共享密钥。3.3.2 命令通道隐蔽通信的一个关键点在于请求信息的编码和解码，即如何将用户请求的目的URL转换成一系列掩体URL，通过请求这些掩体URL来获取目的URL。命令通道是一系列的HTTP请求，通过HTTP请求行为来隐藏目标URL地址。其主要思想是客户端通过产生一系列可见的HTTP请求, 并把该HTTP请求序列的URL映射到客户端秘密的不可见的URL,即目标URL。其方法是通过服务器端动态产生码书, 客户端共享该码书, 通过码书把可见得URL映射到客户秘密的不可见的目标URL。由于上行通讯的信道容量较低，而下传通道的信道容量较高，下行通信主要是传递服务器的返回内容，通过信息隐藏的方法来隐蔽返回信息。利用HTTP协议通道容量的不对称性，我们把命令信息隐藏在上行通讯中,把目标信息隐藏在下行通讯流中。服务器端通过自适应范围映射算法产生码书，然后把该码书隐藏在图片中，返回给客户端，客户端收到这个请求的页面，并提取该响应中隐藏在图片中的码书。即客户端和服务器端共享一个码书(Codebook)，在每一次迭代查找的过程中，服务端响应一个有序的URL对(si, ri)，其中si 为目标域名下当前访问统计上最可能的链接地址或者是被分割的链接地址，即为一个不可见的目标URL或者URL的一部分。ri为下一个HTTP请求，这里的ri为掩体服务器的URL。当客户端收到码书后，通过Encode函数编码，获得下一个HTTP请求，其伪码如下图所示：Procedure Encode(CodeBook, URL) Input 客户端和服务器端共享的码书(Codebook)和当前的URL，/码书为一个字典顺序的(si, ri)对，ri 为通过编码后的下一个请求的URL。Output 下一个HTTP请求的URL（即ri）Begin For each (si, ri) do If Si = url: break End for 把与Si相对应的ri赋值给R Return REnd其中下一个最有可能URL的预测问题，可以通过如下概率模型来解决，如果W为某用户web会话序列，其长度为l,即在此之前已经访问了l个web页面，P(pi|W)为用户访问W以后下次访问页面pi的概率，通过公式(1)我们可以计算出下一个web访问页面pl+1的概率，其中P是某个站点所有页面的集合。因此，由这个公式我们可以计算出每一个页面pi的概率，然后选择概率高的作为最有可能访问的下一个web页面。 pl+1=argmaxpPPpl+1=p|W=argmaxpPP(pl+1=p|pl,pl-1,p1) (1)为了编码上行通道的HTTP请求，客户端每次动态查找来自服务端的码书，然后作为下一个HTTP请求。因此，码书的设计是我们设计隐蔽通道的一个重点,也是我们实现隐蔽通讯的关键，通过把命令编码转换成流量监管系统不被怀疑的HTTP请求信息，并在服务器端可以解码还原出用户目标请求。我们的思路是联合Infranet的范围映射算法和基于马尔科夫模型的web访问预测去生成一个动态字典即码书，这个算法我们称为自适应范围映射（Adaptive Range Map Algorithm)。通过该算法来动态产生码书，预测用户下一个最有可能请求的URL。下面重点介绍几种产生码书的映射算法，通常映射的方法有如下几种。1) 静态字典实现起来方便，简单，而且性能上很高。但是安全性，私密性很低。一个审查者可能通过对网络流的监视，能够统计出码书的字典。如下图所示图 3 静态字典示意图2) 范围映射(Rang Map)在Adler和Maggs的文章中3提出非对称通信模型，并给出一个相应的非对称通信协议,在这种通信模型中，由于隐蔽通信服务端可以知道所有来自客户端的知识即HTTP请求信息，而客户端只知道它自己的请求信息，因此，服务器端可以精确计算出来自所有客户端请求信息的概率分布，这样我们就可以利用这种非对称通信通道维护掩体服务器上所有存在的web页面P的频率分布，即客户可能发送到服务端的HTTP请求(URL)和该HTTP请求所对应的频率，以此来减少隐蔽通信客户端发送到隐蔽通信服务段的请求次数。在Infranet的范围映射中作者基于这种非对称通信协议，改进了原作者算法的缺陷，提出一种基于范围映射的算法来产生码书。该算法设计相对比较复杂，但安全性比较好，而其每次都会动态的产生码书。下图为范围映射算法的示意图。图 4 范围映射算法示意图上图为基于范围映射秘密请求的示意图，其中左边是不可见的HTTP请求(目标URL)，右边是来自掩体服务器的web页面，作为下一个编码后的可见HTTP请求，通过范围映射算法可以保证在当前请求下，下一次在统计上最有可能发送到隐蔽通信服务端的可见的HTTP请求。3) 自适应范围映射自适应范围映射在范围映射基础之上，联合客户端的用户偏好，使用习惯，去预测下一个web请求行为模式。即对于服务端的预测我们建立一个马尔科夫模型，去预测下一步用户最有可能会请求的URL1, URL2 URLn,然后生成码书。下面重点介绍我们采用的自适应范围映射算法。自适应范围映射包括预处理部分，马尔科夫预测模型和自适应算法。预处理模块对Web日志进行预处理，生存一个Session序列，并保存为一个XML文件。其中主要工作是会话识别，用户识别和访问页识别，该主题不在本论文讨论范围之内。基于马尔科夫模型在web访问行为预测方面的研究在参考文献13-15有详细讨论，在这里我们借鉴Brian, D. Davison在文献14提出的算法思想，设计一个增量学习的全K阶的马尔科夫树，通过频率剪枝来提高他们的预测精度，降低时间复杂度。由于全k阶马尔科夫模型具有更好的时间和空间复杂度，而且能够具有更好的预测精度和适应范围。 最后算法的重点是利用建好的马尔科夫模型预测下一步用户最有可能访问的web页面，然后联合范围映射生成码书。 下图为增量建立一个全K-Order的马尔科夫树，算法伪码如下所示：/将HTTP请求序列，增量插入马尔科夫树中Procedure BuildMarkovTree( session, root)Input: session为HTTP请求序列, root马尔科夫树的根节点Output: 马尔科夫树Begin Ptr = root; Count = min( |session|, k) /k 为马尔科夫阶数 For i = 0 to count Copy(session.end() i, session.end(), back_inserter( S ) ) If | S | = 0: Ptr-selfCount+ Else For iter = S.begin() to S.end() Ptr-childCount+ If not_exit_first_child( iter, ptr ) Ptr-numChildren+ addFirstChildNode(iter, ptr) else if not_exit_next_sibling( iter, ptr ) ptr-numchildren+ addNextSiblingNode( iter, ptr ) End If If iter = session.end() Ptr-selfCount+; End if End For End If End ForEnd 由于存在P个页面的web站点，在全K阶马尔科夫模型中总共有(|P|k)个状态，因此我们需要对其进行剪枝，通过条件概率来估算那些在统计上最不可能发生的状态，其中最常见的方法就是通过最大似然原理。如下所示，我们可以通过计算出序列的访问次数，和Sjk序列的访问次数，然后通过公式(2)来计算条件概率P(pi|Sjk )。P(pi|Sjk) = Frequency()FrequencySjk (2)自适应算法是一个增量学习和剪枝的过程，通过当前的Session增量建立并维护一个马尔科夫树，并裁减在统计上频率的期望值比较低的枝叶节点。因此，自适应范围映射其实质是一种动态的字典，它改进了范围映射迭代次数过多，时延太大的缺点，旨在设计一个更加健壮，低时延的隐蔽通讯系统。下图为联合范围映射和基于马尔科夫模型的web访问行为产生码书的伪代码:/利用马尔科夫模型产生的推荐URL序列和Infranet的范围映射产生的动态字典生成一个新的码书Procedure GenCodeBook(SS, dict)Input: SS为利用马尔科夫模型产生的推荐URL序列，dict为范围映射产生的动态字典，其中dict为(si, ri)对。Output: 产生新的码书BeginFor each s in SS /在字典dict中查找si,使得Si刚好大于等于s,并返回相对应的ri R = Search( s, dict) /更新字典dict，即把(R, s)添加到字典dict中 dict = dict (s, R)End for return dictEnd 3.3.3 数据通道数据传输通道包括两个方面,一个是传输码书即传输命令，另一个方面就是利用隐写术把目标信息隐藏在掩体信息中,然后通过数据传输通道返回到客户端。因此设计数据通道主要要考虑目标数据的隐藏以及网络性能问题即带宽，时延。当我们获得资源即目标信息后，利用Outguess、F5等信息隐藏工具将用户请求的资源(网页链接、图片)等嵌入到掩护信息中，然后利用数据通道返回给客户端。而设计一个较低延时的隐蔽通讯系统是系统可用性，系统性能的一个重要方面。我们的做法是利用web预取技术和缓存技术来解决。通过马尔科夫模型预测下一个最有可能的页面，然后预取存到我们的隐蔽服务器端，通过预取，并采用Cache技术来降低时延。如果cache的页面过多可能会造成性能过低，因此我们必须采用某种算法去置换最近没有请求的资源，在此我们采用LRU算法。4 实验结果及性能分析在这个部分我们讨论通信协议的性能。我们设计了一个原型系统来验证我们的隐蔽通信协议，该系统服务端运行的硬件平台：CPU主频3.0 GHZ，内存1 G；操作系统为Ubuntu发行版9.04；支撑环境：Java Runtime Environment 6.0、Tomcat服务器6.0、Squid 2.6。客户端运行环境为硬件平台：CPU主频 3.0 GHZ，内存1 G；操作系统：Linux Ubuntu发行版9.04。主要测试了上行通信和下行通信过程中码书的交互次数，也就是迭代查找目标资源的次数。同时我们还测试了每次交互的时延。我们的测试方案为任意选择一个站点作为我们的目标服务器，然后随机访问其中的50个web页面，访问结束后Sleep一段时间后又继续随机访问这50个页面，并比较我们的自适应范围映射算法和范围映射算法在交互次数，时延等的区别。图 5 上图为迭代次数对比图，即客户端和服务端交换码书的次数，在上图中无马尔科夫推荐为原算法的范围映射算法，而有马尔科夫推荐则是我们自适应范围映射的算法。图 6码书大小为8的迭代次数对比图从上图可以看到我们的自适应范围映射算法在第一次访问序列没有明显优化，而在第一次访问之后，以后的访问就会有明显的优化，即在大部分情况只需要2次就可以找到目标资源，而范围映射其交互次数不管访问多少次其性能都没有明显改进，其在码书大小为16的情况下大部分URL的迭代查找次数为6，在码书大小为8的情况下为7。而在时延方面，范围映射算法无论在第一次访问某个站点情况下还是后续的访问，请求每个页面的平均时延为4秒到5秒之间，而其码书大小为对时延没有明显影响。而我们的算法平均时延为3.5秒到4.5秒之间。在通讯的信道容量方面，我们的隐蔽通讯服务器为一个图片网站的镜像，其平均每页图片信息为600k左右，如果按照信息隐藏嵌入量为20%估算，则平均信道容量期为120k，即返回结果可嵌入120k的隐蔽信息。另外，根据最新统计，互联网上网页的平均大小为312k，按gzip压缩比30%计算，压缩后的内容为93.6k，如果一页信息隐藏不够，可以采用多页信息隐藏。5 结束语本文提出一种基于web通信行为的抗审查隐蔽通信协议，该方法联合非对称通信理论和web行为预测方法，利用HTTP协议中的上传隧道和下载隧道的不对称性，将命令信息隐藏在一系列的HTTP请求中，将目标资源隐藏在掩体资源中，其优点是该方法没有增加每次HTTP请求的额外负载，每次HTTP请求行为都是一次正常的web请求，另一方面，该协议没有采用加密算法，来显示加密HTTP连接，HTTP头字段，或者净载荷，而是通过信息隐藏算法把信息隐藏在掩体资源中。在通信过程中，我们应用非对称理论，在服务器端计算出掩体资源的概率分布，保证每次HTTP请求都是在当前请求下概率最大的。从而保证协议通信行为具有统计学意义上的可抵赖性。最后，我们利用马尔科夫的web行为预测方法，来预测目标资源的请求，试验结果显示我们的协议显著提高了以前方法中性能低下，隐蔽通信客户端和服务端交互次数过多等问题。参考文献1 Nick Feamster, Magdalena Balazinska, Greg Harfst, Hari Balakrishnan , David Karger, Infranet: Circumventing Web Censorship and Surveillance, In Proceedings of the 11th USENIX Security Symposium, 2002, pp. 247-2622 Anonymizer. 3 M. Adler, B. Maggs, protocols for asymmetric communication channels, in proceeding of 39th IEEE symposium on foundations of computer science(FOCS), Palo Alto, CA, 19984 Roger Dingledine, Nick Mathewson, Paul Syverson, Tor: The Second-Generation Onion Router, In Proceedings of the 13th USENIX Security Symposium, 20045 JAP. anon.inf.tu-dresden.de/index_en.html 6 I2P. www.i2p2.de/7 T. Handel and M. Sandford. Hiding data in the OSI network model. In R. Anderson, editor, Information Hiding Workshop (IH 1996), Cambridge, UK, Springer, May/June 1996, volume 1174 of LNCS, pp. 23388 Travis Gagie, Dynamic asymmetric communication, information processing letters, November 2008, Vol. 108, no. 6, pp. 352-3559 SJ Murdoch, S Lewis, Embedding covert channels into TCP/IP, Proc 7th Information Hiding Workshop, June 200510 John Giffin Rachel Greenstadt Peter Litwack and Richard Tibbetts, Covert Messaging through TCP Timestamps11 Cabuk, S., Brodley, C., and Shields, C. IP covert timing channels: Design and detection. In Proceedings of the 2004 ACM Conference on Computer and Communications Security October 200412 Shah, G., Molina, A., and Blaze, M. Keyboards and covert channels. In Proceedings of the 2006 USENIX Security Symposium JulyAugust 200613 Xing Dongshan, shen junyi, A new Markov Model for web access prediction, computing in science and engineering, November 2002, vol. 4, no. 6, pp. 34-3914 Brian, D. Davison, Learning web request patterns, Web Dynamics: Adapting to change in content, size, topology and use, Springer, 2004, pp. 435-46015 Mukund Deshpande and George Karypis. Selective Markov model for prediction web page access, ACM transaction on internet technology, 2004, Vol. 4, no. 2, pp. 163-184A censorship-resistant covert communication protocol based on web communication behavior TAN Qing-feng, SHI Jin-qiao, GUO Li, WANG Xiao(Information Security Research Center, Institute of Computing Technology, Chinese Academy of Sciences, Beijing 100049, China;Chinese National Engineering laboratory for Information Security Technologies)Abstract Web communication, as currently the most common internet communication behavior, and also is one of the main ways of covert communication. The existence covert communication method of TCP/IP or HTTP based is often to use characteristics of protocol, hide extra data in specific fields of protocol header. But the method leaves some obvious signatures; However Timing-based covert communications have some kind of traffic pattern. This paper proposes a web communication behavior based censorship-resistant covert communication protocol, which combine dynamic asymmetric communication and Markov model based web usage prediction. This paper mainly focuses on covert communication protocol, prototype system, and the security of the protocol, the test result shows that our method has high performance and safety.Key words Covert communication; Censorship-resistant; Web communication behavior g an employment tribunal claimEmployment tribunals sort out disagreements between employers and employees.You may need to make a claim to an employment tribunal if: you dont agree with the disciplinary action your employer has taken against you your employer dismisses you and you think that you have been dismissed unfairly.For more information about dismissal and unfair dismissal, seeDismissal.You can make a claim to an employment tribunal, even if you haventappealedagainst the disciplinary action your employer has taken against you. However, if you win your case, the tribunal may reduce any compensation awarded to you as a result of your failure to appeal.Remember that in most cases you must make an application to an employment tribunal within three months of the date when the event you are complaining about happened. If your application is received after this time limit, the tribunal will not usually accept it.If you are worried about how the time limits apply to you, take advice from one of the organisations listed underFurther help.Employment tribunals are less formal than some other courts, but it is still a legal process and you will need to give evidence under an oath or affirmation.Most people find making a claim to an employment tribunal challenging. If you are thinking about making a claim to an employment tribunal, you should get help straight away from one of the organisations listed underFurther help.If you are being represented by a solicitor at the tribunal, they may ask you to sign an agreement where you pay their fee out of your compensation if you win the case. This is known as adamages-based agreement. In England and Wales, your solicitor cant charge you more than 35% of your compensation if you win the case.If you are thinking about signing up for a damages-based agreement, you should make sure youre clear about the terms of the agreement. It might be best to get advice from an experienced adviser, for example, at a Citizens Advice Bureau. To find your nearest CAB, including those that give advice by e-mail, click onnearest CAB.For more information about making a claim to an employment tribunal, seeEmployment tribunals.The (lack of) air up there Watch mCayman Islands-based Webb, the head of Fifas anti-racism taskforce, is in London for the Football Associations 150th anniversary celebrations and will attend Citys Premier League match at Chelsea on Sunday.I am going to be at the match tomorrow and I have asked to meet Yaya Toure, he told BBC Sport.For me its about how he felt and I would like to speak to him first to find out what his experience was.Uefa hasopened disciplinary proceedings against CSKAfor the racist behaviour of their fans duringCitys 2-1 win.Michel Platini, president of European footballs governing body, has also ordered an immediate investigation into the referees actions.CSKA said they were surprised and disappointed by Toures complaint. In a statement the Russian side added: We found no racist insults from fans of CSKA.Age has reached the end of the beginning of a word. May be guilty in his seems to passing a lot of different life became the appearance of the same day; May be back in the past, to oneself the paranoid weird belief disillusionment, these days, my mind has been very messy, in my mind constantly. Always feel oneself should go to do something, or write something. Twenty years of life trajectory deeply shallow, suddenly feel something, do it.一字开头的年龄已经到了尾声。或许是愧疚于自己似乎把转瞬即逝的很多个不同的日子过成了同一天的样子；或许是追溯过去，对自己那些近乎偏执的怪异信念的醒悟，这些天以来，思绪一直很凌乱，在脑海中不断纠缠。总觉得自己自己似乎应该去做点什么，或者写点什么。二十年的人生轨迹深深浅浅，突然就感觉到有些事情，非做不可了。The end of our life, and can meet many things really do?而穷尽我们的一生，又能遇到多少事情是真正地非做不可？During my childhood, think lucky money and new clothes are necessary for New Year, but as the advance of the age, will be more and more found that those things are optional; Junior high school, thought to have a crush on just means that the real growth, but over the past three years later, his writing of alumni in peace, suddenly found that isnt really grow up, it seems is not so important; Then in high school, think dont want to give vent to out your inner voice can be in the high school children of the feelings in a period, but was eventually infarction when graduation party in the throat, later again stood on the pitch he has sweat profusely, looked at his thrown a basketball hoops, suddenly found himself has already cant remember his appearance.童年时，觉得压岁钱和新衣服是过年必备，但是随着年龄的推进，会越来越发现，那些东西根本就可有可无；初中时，以为要有一场暗恋才意味着真正的成长，但三年过去后，自己心平气和的写同学录的时候，突然就发现是不是真正的成长了，好像并没有那么重要了；然后到了高中，觉得非要吐露出自己的心声才能为高中生涯里的懵懂情愫划上一个句点，但毕业晚会的时候最终还是被梗塞在了咽喉，后来再次站在他曾经挥汗如雨的球场，看着他投过篮球的球框时，突然间发现自己已经想不起他的容颜。Originally, this world, can produce a chemical reaction to an event, in addition to resolutely,